تنتشر في محادثات تيليجرام ستايكير متحرك، يؤدي إلى إغلاق التطبيق عند عرضه. وتُعطل هذه الثغرة الأجهزة التي تعمل بنظام iOS وAndroid وmacOS وWindows، بينما تظل النسخة الويب تعمل بشكل طبيعي. كان التقرير عن هذه الأنيميشن مُقدَّمًا إلى دعم تيليجرام منذ يوليو، وبدأ إصلاحه في سبتمبر، بعد أن أصبح الملف منتشرًا على نطاق واسع. بعبارة أخرى، وجد تيليجرام "مُسبب تعطل" بين ستايكيراته.
كيف يعمل التعطل
الستايكير المتحرك في تيليجرام هو ملف من نوع TGS: JSON مضغوط بتنسيق Lottie باستخدام ضغط gzip، حيث تُصوَّر الأنيميشن باستخدام حدود متجهة محددة بنقاط. يقوم العميل بتحويل هذه الملفات إلى صور باستخدام محرك أنيميشن مدمج، وهو بالضبط ما يفشل عند مواجهة ملف ضار. في المناقشات حول الثغرة، يُذكر أن المشكلة تكمن في عدد النقاط: تحتوي الأنيميشن على عدد غير طبيعي من الرؤوس (النقاط) في الحدود، مما يؤدي إلى تعطل العميل عند محاولة تحليلها. أما النسخة الويب، فهي تستخدم محرك أنيميشن مختلفًا لعرض Lottie، لذا تبقى الوحيدة من بين العملاء الرسمية التي لا تتأثر.
معلومة إضافية: تيليجرام يمتلك فحصًا على الخادم للستايكيرات المرفوعة — حيث يرفض جزءًا من الملفات غير الصحيحة — لكن أنيميشن التعطل يمر عبر هذه الفحوصات. فالعميل يتلقى الملف كستايكير عادي، ثم يتعطل عند محاولة عرضه.
وهذا ما يفسر جغرافية التعطل: يُغلق التطبيق عند أي شخص يظهر في واجهته الأنيميشن داخل المنطقة المرئية — سواء في المحادثة، أو في معاينة المحادثة، أو في قائمة التفاعل.
التسلسل الزمني
تُعرف هذه الثغرة منذ يوليو. قدم المُكتشف @w1r3l355 تقريرًا إلى دعم تيليجرام عن ستايكير يُسبب تعطل جميع العملاء باستثناء النسخة الويب، دون الكشف عن الملف علنًا. تم التحقق من التقرير على Android وiPhone وMac وWindows: وعُلِّق التطبيق على جميع المنصات الأربع، كما أصبحت المحادثة التي تم إرسال الستايكير إليها غير قابلة للفتح بالنسبة للمشاركين. ولم يُرد على التقرير، ولا تم دفع أي مكافأة.
في بداية سبتمبر، تم اكتشاف الملف مجددًا — لكن هذه المرة لم يُرفع تقريرًا، بل بدأ توزيعه عبر المحادثات. في 8 سبتمبر، ظهر متجه جديد: تم تحويل الستايكير إلى أيقونة مخصصة (Custom Emoji) ووضعها في الحالة (Status) هنا. والـCustom Emoji هو نفس تنسيق Lottie، وتحتاج الحالة إلى عرضها بجانب الاسم في كل محادثة يُرسل فيها الشخص رسالة، ما جعل التعطل لا يحتاج حتى إلى إرسال رسالة.
بدأ الإصلاح بعد انتشار الملف على نطاق واسع. وفي الوقت نفسه، بدأ الإنترنت بحساب عدد التأثيرات:
ماذا تفعل حتى يتم الإصلاح
جميع الحلول المؤقتة تدور حول حظر عرض الأنيميشن من قبل العميل.
- وضع توفير الطاقة في إعدادات تيليجرام يُوقف تشغيل الأنيميشن التلقائي للستايكيرات والـEmojis — مما يمنع تحليل الملف، ويمنع التعطل. وهو الحل الأكثر موثوقية.
- إذا كان التطبيق يغلق فورًا عند التشغيل: افتح أي إشعار من تيليجرام، فسيبدأ العميل من محادثة محددة، ويتجاوز المحادثة التي تسبب التعطل.
- الضغط الطويل على أيقونة تيليجرام → "المفضلة" أو "كتابة رسالة" — لتشغيل التطبيق خارج آخر محادثة مفتوحة.
- العميل الويب يعمل بشكل طبيعي: يمكنك من خلاله تحديد المرسل، حذف الرسالة، والإبلاغ عنها.
تم جمع ملخص الحلول المؤقتة من قبل المستخدمين.
وتحتاج إلى اتباع قاعدة بسيطة للنظافة الرقمية في الأيام القادمة: لا تضع ستايكيرات مخصصة في حالتك، ولا تُثبّت حزمًا من رسائل عشوائية أو من "جربها، هل تعمل عندي؟" — حتى يتم الإصلاح، أي أنيميشن غير معروف قد يكون هو الملف المسبب للتعطل. الحزم الموثوقة موجودة في مكتبة الإيموجي ومكتبة الستايكيرات.
اقتصاد التقرير
ما يلفت الانتباه ليس الثغرة نفسها، بل المسار الذي اجتازته. تقرير يوليو، مع إثبات مبدئي غير مُعلن، بقي دون رد لمدة شهرين ونصف؛ وبدأ الإصلاح فقط بعد أن انتشر الملف على نطاق واسع. للإيضاح: مقابل ثغرة تُخفي رابطًا خارجيًا كرابط داخلي (وهو ما يكشف عن عنوان IP للمستخدم)، دفع تيليجرام مكافأة قدرها 100 دولار. أما عن الأنيميشن الذي يُسبب تعطل جميع العملاء الناتجة، فلا توجد مكافأة حتى الآن.
